Идентификаторларды қайталамай VPN серверін қалай қалпына келтіруге болады

Сіз резервтік көшірмені қалпына келтірдіңіз, қызмет іске қосылды және клиент бірінші әрекетте қосылды. Бұл сәттілік — тұзақ. Қалпына келтіру сервердің сурет алынған сәттегі файлдарын қайтарады, содан бері өзгерген рұқсат күйін емес, және ескі соңғы нүкте әлі де қолжетімді болса, қазір бір идентификаторға жауап беретін екі машина бар. Шешім жақсырақ резервтік көшірме емес; шешім — қалпына келтірілген хост бір қол алысуға жауап бермес бұрын не бола алатынын шешу.

Резервтік көшірме файлдарды қайтарады, өкілеттік емес

Суретте сервер конфигурациясы, жеке кілттер, сертификат органы, теңдестер тізімі және өрт қабырғасының ережелері резервтік көшірме жүрген кездегі қалпында сақталады. Ол кейін өзгергенді сақтай алмайды: сіз кері қайтарған құрылғыны, қайта шығарған кілтті, ноутбук сатылғанда жойған теңдесті, көшірген ішкі желіні. Қалпына келтіру файлдарды сол сәтке қайтарады. Ол адамдар содан бері қабылдаған шешімдерді қайтармайды.

Залал дәл осы алшақтықтан келеді. Резервтік көшірмеден екі апта өткен соң кері қайтарылған ұрланған ноутбук қалпына келтірілген ағаштағы ескі CRL-ге қарсы әлі тексерілетін сертификат ұсынады, және сервер сіз зейнеткерлікке шығарған құрылғыны қабылдайды. WireGuard тікелейірек: теңдес тізімде болуымен өкілетті, сондықтан суреттен кейін жойылған теңдес жай ғана қайтадан бар. Ешкім бұл рұқсатты қайта мақұлдамады. Ескі файл мақұлдады.

Сервер идентификаторы мен клиент идентификаторы әртүрлі жолмен істен шығады

WireGuard-та сервер идентификаторы wg0.conf ішіндегі жеке кілт, сондықтан бұл файлды екінші қолжетімді хостқа көшіру бірдей идентификаторлы және бір-бірін білмейтін екі сервер жасайды. Әрқайсысы өз теңдестер тізімін ұстайды. Жаңа хостта теңдесті жойыңыз, ескісі оны әлі қабылдайды; біреуінде wg show тексеріңіз және шындықтың жартысын көресіз. Клиенттер де өздігінен ауыспайды: профиль бір Endpoint тасиды, сондықтан құрылғы өзі конфигурацияланған мекенжаймен сөйлесуді жалғастырады, ол сіз зейнеткерлікке шығарғыңыз келген хост болуы мүмкін.

OpenVPN сол қабатта сервер сертификатымен, оның жеке кілтімен және tls-auth немесе tls-crypt статикалық кілтімен қайталанады. Үшеуін де көшіріңіз, клиент даналарды ажырата алмайды; екеуі де қолжетімді болса, қайта қосылу кез келгеніне түсуі мүмкін, және әрбір журнал жартылай әңгіме айтады. Сертификат органы тереңірек көшірме. Қалпына келтірілген easy-rsa ағашы — сіз берген кез келген атауға жарамды сертификат бере алатын екінші шындық көзі.

Клиенттер де қайталанады, әдетте көшірудің өзінде. Профильді қосалқы құрылғыға «тек сынау үшін» көшіру сол кілт пен ортақ атауы бар екінші құрылғы жасайды. duplicate-cn болса, екі сессия да бір мезгілде ашық тұра алады, ал ccd немесе ifconfig-pool-persist ішіндегі статикалық мекенжай тағайындауы бастапқы құрылғымен соқтығысуы мүмкін. Бұл бір идентификаторды киген екі машина, және сервер конфигурациясында оларды ештеңе ажыратпайды.

Ескі соңғы нүкте үшін үш күйдің бірін таңдаңыз

Қалпына келтіру ескі соңғы нүктенің тағдыры шешілгеннен кейін ғана қауіпсіз. Оны зейнеткерлікке шығарыңыз: ескі қызмет жаңа хост іске қосылмас бұрын VPN портын қабылдауды тоқтатуы керек, ал машинаға жете алмасаңыз, бұл портты желі шетінде әкімшілік көзіңізден басқа барлығына бұғаттаңыз. Сол хостты жөндеңіз: идентификаторды қайта пайдалануға болады, себебі оны бір машина ұстайды, бірақ кейін ескі кілттің дискілік көшірмесін немесе VM суретін жойыңыз, ол қайта оралмасын. Қолжетімділік жұбын құрыңыз: екі хостқа бөлек хост идентификаторлары және бір ортақ соңғы нүкте қажет, мысалы қалқымалы мекенжай, жүктеме теңгеруші немесе жылжытуға болатын DNS. Жеке кілтті көшіру failover жобасы емес; бұл бір атауды талап ететін екі сервер.

Клиенттерге тимес бұрын шын мәнінде қай күйде екеніңізді растаңыз. VPN портында жауап беретін ескі хост кері қайтарылған құрылғыны қабылдайтын хост, DNS жылжыған болса да. Тыңдаушылар мен ашық кілтті тексеріңіз:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Алдымен теңдестерді, кері қайтаруларды және мекенжайларды үйлестіріңіз

Қалпына келтіру нені талап ететінін қазір өкілеттіленгенмен салыстырып тізіңіз. WireGuard-та wg show wg0 әр теңдестің кілтін, соңғы нүктесін, соңғы қол алысуын және тасымалдау есептегіштерін береді, бұл енді сіздің меншігіңізде жоқ құрылғыны байқауға жетеді. Оны тікелей wg set wg0 peer <key> remove арқылы жойыңыз, содан кейін конфигурацияны да өңдеңіз, әйтпесе теңдес келесі іске қосуда қайтады. wg show wg0 allowed-ips екінші мәселені ашады: бір мекенжайда екі теңдес, немесе сіз қайта тағайындаған мекенжай.

OpenVPN-де кері қайтарулар тізімі күні бар файл, ал қалпына келтіру ескісін қайтаруы мүмкін. Клиенттер қосылмас бұрын оны тексеріңіз:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Егер соңғы жаңарту кері қайтарудан бұрын болса, сервер сіз кері қайтарған сертификатты әлі де сыйлайды. OpenVPN 2.4 және одан кейінгілер әр жаңа қосылым үшін CRL файлын қайта оқиды, сондықтан файлды ауыстыру жаңа сессияларды тоқтатады, бірақ орнатылған туннельдер қайта келіссөзге дейін сақталады; reneg-sec әдепкі мәні 3600 секунд, және оны төмендету немесе қызметті қайта іске қосу сізге өзгерісті қазір береді. Ескірген құрастырулар файлды соншалықты сенімді қабылдамауы мүмкін, сондықтан нұсқаның мінез-құлқын растай алмасаңыз, қайта іске қосыңыз. wg(8) нұсқаулығы жоғарыда қолданылған теңдесті жою мен allowed-ips синтаксисін қамтиды.

Енді жоқ құрылғылардың статикалық тағайындауларын да тазалаңыз. Ескі профиль әлі орнатылған кезде зейнеткерлікке шығарылған құрылғының мекенжайын жаңасына қайта пайдалану дәл сіз аулақ болғыңыз келген қайталауды жасайды.

Кері қайтарған клиентіңізбен тексеріңіз

Тексерулерді ретімен, туннельден тыс желіден орындаңыз. Алдымен өкілетті құрылғы қосылады, итерілген шешуші арқылы DNS шешеді және жеке ресурсқа жетеді. Содан кейін кері қайтарылған құрылғы жаңа емес, өзінің қолданыстағы профилімен сәтсіз болуы керек. Содан кейін ескі соңғы нүктені сырттан сынаңыз: VPN порты әлі қол алысуды аяқтаса, ескі хост тірі және қайталау шынайы, теориялық емес.

Қалпына келтірілген хостты қайта жүктеңіз және өкілетті мен кері қайтарылған тексерулерді қайталаңыз, өйткені дәл сонда конфигурация файлы жұмыс кезінде өзгерткеніңізден басым түседі. Хосттың ашық кілтін немесе сертификат саусақ ізін зейнеткерлікке шығарылған машина қолданғанмен салыстырыңыз. Екі тірі машинадағы сәйкес саусақ іздері қалпына келтіру идентификаторды клондағанын білдіреді; бір машинадағы сәйкес саусақ іздері қалыпты. Қалпына келтірілген нұсқаларды, кілттердің саусақ іздерін және кері қайтарылған сериялық нөмірді немесе теңдес кілтін жазып алыңыз, содан кейін осы үйлестіруден кейін келесі резервтік көшірмені алыңыз, ол қызметті қазіргі күйінде көрсетсін. Жұмыс істейтін сынақ клиенттің қосылуы емес. Ол — жойылған клиент сыртта қалады, ал ескі соңғы нүкте жабық күйінде қалады.